ASP.NET2.0角色控制和管理

安全性必要性

对于网站而言，用户身份认证与权限管理是非常重要的部分。

通过用户和密码，对用户进行身份验证，并指派他可访问的资源，这部分工作一直都是网站开发的重要内容。

在另外一些情况下，需要根据用户的身份进行权限识别，不同用户访问相同页面，也需要显示不同的内容。

这涉及到用户权限管理部人，也是风站开发的核心内容。

角色控制概述

memberhip和role memager能够非常好的解决这个问题，不但可以对用户的登陆信息进行统一管理，还可以就用户的权限进行分类管理，让开发者方便的就网站权限与安全必进行设定。

Login控件更提从了一种非常方便的建造登陆与用户管理信息的法

认证与授权

asp.net通过与iis协同工作来进行授权管理。共两种身份认证方式。

通过查询acls列表或者许中证来判定该访问是否拥有浏览的以权利。

通过url认证

认证方式

当用户以访问某网站的时侯。两种授权方式分别会进行不同的动作。

第一种认证方式会根据用户的登陆信息来判定asp.net针对该用户所指定的系统帐号，然后再判断系统帐号是否对被请求的本地资源有访问权限。

第二种身份认证方式通过检查asp.net配置文件来进行授权认证。

Asp.net的页面认证方式中，可以使用以下三种方式进行身份认证。

通过修改config文件中的authentication属性，可以配置不同的认证方式。

取值	描述
None	不进行授以与身份验证
Windows	基于windows身份验证，首先判断window用户的身份和组
Forms	基于cookie的身份认证机制
Passport	使用PassPort SDK进行二次开发

<configuration>

       <system.web>

              <authentication mode=”Forms”/>

       </system.web>

</configuration>

window认证方式

window认证方式通过使用windowsprincipal类对用户的windows身份进行判定，然后根据用户所属的window身份组来进行认证。

需用在web.config里加上<authentication mode=”Windows”/>

Demo1(Lesson6/windowsAuthentication.apx//web.config)

Page_Load(Object sender, EventArgs e){

        AuthUser.Text = User.Identity.Name;   //用户的名称

        AuthType.Text = User.Identity.AuthenticationType; //用户的认证类型(NTLW)

}

Form认证方式

Forms认证方式是在窗体内提供用户输入id和密码的地方，并根据用户输入的id和密码进行身份认证。

Forms认证方式同时还使用cookie记录用户的信息，当用户访问其他页面的时侯，程序通过访问cookie来获得用户的身份信息。

Forms认证方式配置文件

<authentication mode="Forms">

       <forms name=".ASPXUSERDEMO" loginUrl="Formslogin.aspx" protection="All" timeout="60" />

</authentication>

Forms认证配置文件讲解

配置文件中的属性意义如下表所示

属性	描述
LoginUrl	指定一个用于登陆的页面
Name	Cookie的名字，注意，如果一个服务器有很多应用的话，要给cookie其不同的名字。
TimeOut	Cookie的存活时间默认值是30分钟
Protection	Cookie被保存的方式
Path	Cookie的保存路径

Protection属性

Protection是用来描述cookie的保存方式的，有下列四个可选择项目

属性	描述
None	不使用任何方法保护cookie
Encryption	使用des或者三层des对cookie进行加密，但是并不对cookie传输中是否被监听或篡改进行监视。
Validation	监视cookie，保证传输过程中不会被监听或者篡改。但是并不对cookie进行加密。
All	同时使用Encryption和Validation

Demo2(lesson6/)

Web.config

<authentication mode="Forms">

       <forms name=".ASPXUSERDEMO" loginUrl="Formslogin.aspx" protection="All" timeout="60" />

</authentication>

FormsLogin.apx

单击的登陆事件的内容如下：

If （UserEmail.Value = = "someone@www.frontfree.com" And UserPass.Value = = "password"）

{FormsAuthentication.RedirectFromLoginPage(UserEmail.Value, PersistCookie.Checked);}

else；//将页面转到调用登陆窗口的页，同时传送用户的基本信息

 { Msg.Text = "用户名密码错误，请重新尝试"}

Default.apx

主页加载事件的内容

Welcome.Text = "Hello, " + User.Identity.Name；//显示注册用户的信息

注销用户事件的内容

FormsAuthentication.SignOut()；//注销用户信息

Response.Redirect("Formslogin.aspx")

使用文件记录用户的帐号和密码

用户还可以通过指定可访问的用户名和密码来指定访问用户。

<authentication>

       <credentials passwordFormat=”SHA1”>

              <user name=”Mary” password=”adadfsdfdfdsf”/>

              <user name=”John” password=”adfsdfdfdsf”/>

       </credentials>

</authentication>

在指定密码的保存方式时，可以指定密码的存方式，有三种方式。

Hash类型	描述
Clear	不加密进行存储
SHA1	使用SHA1进行加密
MD5	使用MD5进行加密

授权用户与角色

用户访问还可以通过定制访问规则来实现对用户的角色分配。

<authorization>

       <allow users=”supper3000@gmail.com”/>

       <allow roles=”Admin”/>

       <deny user=”*”/>

</authorization>

verb=”post,get”

*（所有用户）？（匿名用户）

使用用户管理控件

Login //登录控件

LoginStatus //用来表明当前的登录状态

CreateUserWizard //创建新用户模板

LoginView //根据用户是否登录来选择显示内容

ChangePassword //用来更改用户的密码

Demo3

Web.config

<authentication mode=”Forms”/>

Site.master

<asp:loginstatus ID="loginstatus" runat="server"/> //用来表明当前的登录状态

把它的view初始值设置为Login

login.aspx

<asp:Login ID="Login1" runat="server" BackColor="#F7F7DE" BorderColor="#CCCC99" BorderStyle="Solid" BorderWidth="1px" CreateUserText="创建用户" CreateUserUrl="~/CreateUser.aspx" Font-Names="Verdana"

        Font-Size="10pt">

        <TitleTextStyle BackColor="#6B696B" Font-Bold="True" ForeColor="#FFFFFF" />

</asp:Login>

添加上上面的两项，可以在登录页面上看到有新建用户的链接。

Default.aspx

<asp:loginview ID="LoginView1" runat="server">

    <loggedintemplate>

      <h1>

        <asp:loginname id="LoginName1" runat="server" formatstring="Welcome {0}" />

      </h1>

    </loggedintemplate>

    <anonymoustemplate>

      <h1>Welcome to Login Controls</h1>

      <asp:login ID="Login1" runat="server" createuserurl="CreateUser.aspx" createusertext="Create a New Account" />

    </anonymoustemplate>

   

 </asp:LoginView>

CreateUser.apx

<asp:CreateUserWizard ID="CreateUserWizard1" runat="server" ContinueDestinationPageUrl="~/Default.aspx">

<WizardSteps>

           <asp:CreateUserWizardStep runat="server">

           </asp:CreateUserWizardStep>

           <asp:CompleteWizardStep runat="server">

           </asp:CompleteWizardStep>

</WizardSteps>

</asp:CreateUserWizard>

<asp:CompleteWizardStep runat="server"></asp:CompleteWizardStep>

</WizardSteps>

</asp:CreateUserWizard>

其实直接拖动一个这样的控件就可以产生上面的内容。

在新建用户时应注意，用户在可以随便定，但密码为了字全，微软规定要有最少七位，另外还得有个特殊字符。

成员管理

成员管理特性是基于membership和memberhipuser两个类。可以使用memship类为asp.net创建用户。

Memberhip类还可以完成以下工作：

建立一个新的membershipuser

可以对用户身份进行验证

找回一个membershipuer实例

更新一个membershipuser实例

通过不同的条件寻找一个用户

获得当前在线用户数量

删除一已经不再需用的帐户

membershipuser类中以完成以下工作：

访问一个membershipuser示例的属性

找回一个用户的密码

修改一个用户的密码

修改一个用户的密码问题以及密码问题的答案

为一个已经因为多次尝试密码挫败而锁定的用户解除锁定

角色管理

角色管理在于role类实现

通过角色管理类，可以实现以下工作：

新建一个角色；删除一种角色；给一个用户分配角色；去除一个用户的角色；判断用户是否被授权给一个特殊的角色；在一种角色中寻找一个用户，从一个用户信息中获得他所具有的角色信息。

创建用户

通过调用membership的createuser方法，可以创建用户，需要注意的是membership的密码要求长于7位，并需用有至少一个特殊字符。

Demo4(membership)

Web.config

<system.web>

<roleManager enabled="true" />

</system.web>

<location path="secured">

       <system.web>

              <authorization>

                     <deny users="?"/>

                     <allow users="*"/>

              </authorization>

       </system.web>

</location>

<location path="administrators_role">

       <system.web>

              <authorization>

                     <allow roles="Administrators" />

                     <deny users="*"/>

              </authorization>

       </system.web>

</location>

CreatingUsers.aspx

<一>添加新用户的单击事件

string userName = txtUserId.Text;

string password= txtPassword.Text;

string email = txtEmail.Text;

string passwordQuestion= ddlPasswordQuestion.SelectedValue;

string passwordAnswer = txtPasswordAnswer.Text;

MembershipCreateStatus result

Membership.CreateUser(userName, password, email, passwordQuestion, passwordAnswer, True, result);

lblResults.Visible = True;

switch result

{

Case MembershipCreateStatus.Success

        txtUserId.Text = “”;

        txtPassword.Text =””;

        txtEmail.Text = “”;

        ddlPasswordQuestion.SelectedIndex = -1;

        txtPasswordAnswer.Text = “”;

        lblResults.Text = "User successfully created!";

        break;

      Case MembershipCreateStatus.InvalidUserName

        lblResults.Text = "这个用户名是无效的，请重新输入一个新的名称。"；

        break;

      Case MembershipCreateStatus.InvalidPassword

        lblResults.Text = "密码不正确，请重新输入"；

        break;

      Case MembershipCreateStatus.InvalidEmail

        lblResults.Text = "电子邮件格式不正确，请重新输入"；

        break;

      Case MembershipCreateStatus.InvalidQuestion

        lblResults.Text = "问题的格试不正确，请重新输入"；

              break;

      Case MembershipCreateStatus.InvalidAnswer

        lblResults.Text = "密码回答不正确，请重新输入"；

              break;

      Case MembershipCreateStatus.DuplicateUsername

        lblResults.Text = "用户已经被使用，请重新输入";

              break;

      Case MembershipCreateStatus.DuplicateEmail

        lblResults.Text = "电子邮件已经在使用，请输入一个不同是的电子邮件地址”;

              break;

 Case Else

        lblResults.Text = "An error occurred while creating the user."

}

true是否用户一开通就被授权。

Login.apx

<二>登录事件

string userName = txtUserId.Text;

string password = txtPassword.Text;

if (Membership.ValidateUser(userName, password))

{

      If  ! (Request.QueryString("ReturnUrl") Is nothing) //如果该项有值则切换到转向此页的页面

      {

        FormsAuthentication.RedirectFromLoginPage(userName, False);转到调用这个页的页

      }

      else

      {

       FormsAuthentication.SetAuthCookie(userName, False);不转到其它页

        Response.Redirect("~/secured/menu.aspx");转向其它的页面

      }

else

 {

      lblResults.Visible = True;

       lblResults.Text = "Unsuccessful login. Please re-enter your information and try again.";

 

      If (Not Membership.GetUser(userName) Is Nothing)如果验证不正确，且又存在该用户

          If(Membership.GetUser(userName).IsLockedOut = true)用户是否已锁定（5次）

               lblResults.Text = lblResults.Text & " <b>Your account has been locked out.</b>"

          End If

      End If

    End If

<三>用户的注销

FormsAuthentication.SignOut()；//注销用户

Roles.DeleteCookie()；//清除cookie

FormsAuthentication.RedirectToLoginPage()；//注销后转回到登陆页

用户信息的显示

MemberShipUser memUser=MemberShip.GegUser();

<%=Server.HtmleEncode(memUser.UserName)%>//用户名

<%=Server.HtmleEncode(memUser.Email)%>//用户的电子邮件

<%=Server.HtmleEncode(memUser.IsApproved)%>//是否批准和通过

<%=Server.HtmleEncode(memUser.PasswordQuestion)%>//用户的密码问题

<%=Server.HtmleEncode(memUser.IsOnline)%>// 用户是否在线

<%=Server.HtmleEncode(memUser.LastLoginDate.ToString(“F”))%>//最后登录时间

<%=Server.HtmleEncode(memUser.LastActivityDate.ToString(“F”))%>//最后活动时间

<%=Server.HtmleEncode(memUser.LastPasswordChangeDate.ToString(“F”)%>//最后一次更密码时间

<四>删除当前登录的用户信息

if(MemberShip.Deleteuser(User.Identity.Name))

{

       FormAuthentication.SignOut();

       Roles.DeleteCookie();

       Response.Redirect(“~/CreatingUsers.aspx”);

}

else

{

lblReult.Visible=True;

lblReult.Text=”这个用户不能被删除”;

}

<五>更新用户信息

（1）       数据源的定义

<asp:ObjectDataSource ID=”ObjectDataSource1” runat=”server”

DataObjectTypeName=”System.Web.Security.MemberhipUser”

SelectMethod=”GetUser”

TypeName=”System.Web.Security.Membership”/>

（2）       显示用户数据的控件

<asp:DetialsView AutoGenerateRows=”False” DataSourceID=”ObjectDataSource1”

       ID=”DetalisView1” runat=”server” AutoGeneratiEditButton=”true”

       OnItemUpdating=”DatailsView_ItemUpdating”>

       <Fields>

       <asp:BindField DataField=”CretionDate” HeaderText=”CreationDate”

        ReadOnly=”true” SortExpression=”CreationDate”/>

       <asp:BindField DataField=”Comment” HeaderText=”Comment”

        ReadOnly=”true” SortExpression=”Comment”/>

       <asp:BindField DataField=”ProviderName” HeaderText=”ProviderName”

        ReadOnly=”true” SortExpression=”ProviderName”/>

       …………..

       </Field>

</asp:DetialsView>

private void DetailsView1-ItemUpdating(Object Sender,DetailsViewUpdateEventArgs e)

{

       MembershipUser memUser=Memberhip.GetUser();

       MemUser.Email=e.NewValues(0).ToString();

       MemUser.Comment=e.NewValues(1).ToString();

       Memberhip.UpdateUser(memUser);

       e.Cancel=true;

       DetailsView1.ChangeMode(DetailsViewMode.ReadOnly);

}

<六>用户的解锁

MembershipUser memUser=Membership.GetUser(txtUserName.text);

If(!memUser is Nothing &&memUer.IsLockedOut= =true)

{

       memUer.UnlockUser();

}

DetailsView1.DataBind();

Private void Page_Load(Object sender,System.EventArg e)

{

       if (!Page.IspostBack)

{

       txtUserName.Text=User.Identity.Name;

}

}

 

<七>角色的添加

Roles.CreateRole(txtCreateRole.Text);

<八>角色的删除

Roles.DeleteRole(listboxRoles.SelectedValue);

<九>在列表中添加所有的角色。

ListboxRoles.DataSource=Roles.GetAllRoles();

<十>查看角色是否存在

Roles.RoleExists(“Administrators”);